लिक्विड नेटवर्क एक्सप्लॉइट: 4,000 BTC का पेग-आउट कैसे हुआ

सितंबर 2026 में Liquid Network के साथ हुई सुरक्षा घटना का केंद्र वह व्यवस्था थी, जो L-BTC को पूरी तरह BTC रिजर्व से समर्थित रखने के लिए बनाई गई है। रिपोर्टों के मुताबिक, अज्ञात पक्षों—जिन्होंने खुद को “व्हाइट हैट” कहा—ने Liquid में इस्तेमाल होने वाले Elements सॉफ्टवेयर की एक खामी का फायदा उठाकर ऐसे L-BTC बनाए, जिनके बदले रिजर्व में BTC मौजूद नहीं था। फिर सामान्य पेग-आउट प्रक्रिया के जरिये उन्हें Liquid Federation वॉलेट से असली बिटकॉइन मिल गए। 1435

नतीजा बेहद बड़ा था: फेडरेशन वॉलेट के घटना-पूर्व करीब 4,200 BTC बैलेंस में से लगभग 4,000 BTC बाहर चले गए—यानी करीब 95%। उस समय निकाले गए BTC की कीमत करीब 32 करोड़ डॉलर आंकी गई थी। 1214

आसान भाषा में: खामी क्या थी?

L-BTC का उद्देश्य Liquid पर उस बिटकॉइन का प्रतिनिधित्व करना है, जिसे फेडरेशन की कस्टडी में रखा जाता है। सामान्य मॉडल में BTC को बिटकॉइन की मुख्य चेन पर लॉक किया जाता है और Liquid पर उतनी ही मात्रा में L-BTC चलन में आता है। बाद में धारक L-BTC को रिडीम—या पेग-आउट—करके फेडरेशन रिजर्व से BTC प्राप्त कर सकता है।

इस घटना में कथित कमजोरी ने इस मॉडल के पहले हिस्से को तोड़ दिया: बिना बराबर BTC बैकिंग के L-BTC मिंट हो सके। इसके बाद संबंधित पक्ष ने करीब 4,000 L-BTC SideSwap की पेग-आउट सेवा को भेजे। SideSwap ने अपनी सामान्य ऑथराइजेशन प्रक्रिया के तहत ऑर्डर प्रोसेस किया, प्राप्त L-BTC को बर्न किया और फेडरेशन ने तय बिटकॉइन पते पर 3,996 BTC जारी कर दिए। 3539

यहीं मुख्य फर्क है। Liquid ने कहा कि रिडेम्प्शन में SideSwap की Peg-out Authorization Key (PAK) इस्तेमाल हुई, लेकिन वह की किसी के हाथ नहीं लगी थी और न ही अन्य फेडरेशन कुंजियों से समझौता हुआ। रिपोर्टेड समस्या यह थी कि रिडेम्प्शन से पहले सिस्टम वैध और अवैध ढंग से मिंट किए गए L-BTC में अंतर नहीं कर सका। 3353

SideSwap से फंड कैसे निकले?

रिपोर्टों में घटनाक्रम इस तरह बताया गया है:

1. Elements की खामी ने ऐसे L-BTC जारी करना संभव बनाया जिनके लिए बराबर BTC रिजर्व में नहीं था।
2. संबंधित पक्ष ने लगभग 4,000 L-BTC को SideSwap की पेग-आउट सेवा में भेजा।
3. SideSwap ने इन्हें वैध ग्राहक फंड मानकर Liquid पर बर्न किया और वैध पेग-आउट ऑथराइजेशन दर्ज किया।
4. Liquid Federation ने रिजर्व से करीब 3,996 BTC प्राप्तकर्ता के बिटकॉइन पते पर भेज दिए। 3539

अर्थात, पेग-आउट तंत्र ने प्रक्रिया के हिसाब से काम किया, लेकिन उसके इनपुट की आर्थिक वैधता गलत थी। सामान्य दिखने वाली रिडेम्प्शन प्रक्रिया ने बिना बैकिंग वाले साइडचेन एसेट को फेडरेशन रिजर्व में रखे BTC में बदल दिया।

OP_RETURN संदेश और “व्हाइट हैट” होने का दावा

BTC रखने वाले पक्ष ने बिटकॉइन ट्रांजैक्शन और OP_RETURN डेटा के जरिये सार्वजनिक संदेश भेजे, जिनमें खुद को “whitehats” बताया गया। Blockstream ने भी ब्रिज नोड्स पैच किए जाने की बात कहते हुए ऑन-चेन PGP-साइन किया हुआ संदेश भेजा। 745

पक्ष ने शुरुआत में कहा था कि खामी ठीक होने के बाद वह अधिकतर रकम लौटाएगा। 7 सितंबर को उसने 3,400 BTC Liquid के पेग पते पर वापस भेजे। करीब 598.5 BTC उसके पते पर ही रहे—निकाली गई राशि का लगभग 15%, जिसकी समकालीन रिपोर्टिंग में कीमत करीब 4.7 से 4.8 करोड़ डॉलर बताई गई। 4445

उन्हें “व्हाइट हैट” कहना उनका अपना दावा है, कोई स्थापित कानूनी या सुरक्षा-आधारित निष्कर्ष नहीं। बचाई गई रकम को व्यापक रूप से कथित बाउंटी या फाइंडर फीस बताया गया, लेकिन उपलब्ध रिपोर्टिंग में किसी सहमत बग-बाउंटी व्यवस्था की पुष्टि नहीं होती। 4445

Liquid और Blockstream ने क्या आपात कदम उठाए?

तत्काल नियंत्रण के लिए Liquid ने ब्रिज नोड्स बंद किए और नए लेनदेन रोक दिए। एक्सचेंजों को L-BTC जमा और निकासी रोकने, या इसकी तैयारी करने की सूचना दी गई। नेटवर्क ने माना कि Liquid वॉलेट प्रभावित होंगे, जबकि फेडरेशन सदस्य सेवा बहाली पर काम कर रहे थे। 123353

इस रोक से आगे की ब्रिज गतिविधि सीमित हुई, लेकिन इससे Liquid का ट्रस्ट मॉडल भी स्पष्ट हुआ: यह एक फेडरेटेड सिस्टम है, जिसके ऑपरेटर आपात स्थिति में परिचालन स्तर पर हस्तक्षेप कर सकते हैं। यह नियंत्रण नुकसान को रोकने में मदद कर सकता है, पर बिटकॉइन के परमिशनलेस कन्सेन्सस मॉडल से अलग है।

Liquid ने कहा कि साइडचेन पर जारी USDT, DePix और रियल-वर्ल्ड एसेट (RWA) जैसे अन्य एसेट इस विशेष एक्सप्लॉइट से सीधे प्रभावित नहीं हुए। तत्काल जोखिम मुख्यतः L-BTC धारकों और उन सेवाओं के लिए था जो L-BTC जमा, निकासी या पेग गतिविधि पर निर्भर थीं। 113353

L-BTC की बैकिंग के बारे में यह घटना क्या बताती है?

Liquid का मूल आर्थिक वादा है कि फेडरेशन की कस्टडी में रखे BTC के बदले L-BTC एक-के-बदले-एक समर्थित है। बिटकॉइन नेटवर्क स्वयं इस संबंध को लागू नहीं करता। यह Liquid की जारी करने और वैलिडेशन लॉजिक, फेडरेशन की कस्टडी व साइनिंग प्रक्रियाओं तथा पेग-इन/पेग-आउट प्रक्रिया के सही काम करने पर निर्भर करता है।

यह घटना दिखाती है कि जांच की पूरी श्रृंखला मजबूत होना क्यों जरूरी है। मजबूत कस्टडी नियंत्रण या वैध पेग-आउट ऑथराइजेशन पर्याप्त नहीं हैं, यदि एसेट जारी करने की खामी नकली दावा सिस्टम में आने देती है। जब ऐसे L-BTC को रिडेम्प्शन के लिए स्वीकार किया गया, तो उसने वैध L-BTC के साथ उसी सीमित BTC रिजर्व पर दावा कर दिया। 143539

व्यावहारिक सुरक्षा नियम सरल, लेकिन कड़ा है: किसी भी रिडीमेबल रैप्ड एसेट की हर इकाई की सत्यापित बैकिंग होनी चाहिए और रिडेम्प्शन सिस्टम को उन एसेटों को अस्वीकार करना चाहिए जिनका जारी होना इस बैकिंग नियम का उल्लंघन करता है।

क्रिप्टो इन्फ्रास्ट्रक्चर सुरक्षा की बड़ी तस्वीर

Liquid की घटना पारंपरिक प्राइवेट-की चोरी नहीं थी। इसका केंद्र सॉफ्टवेयर वैलिडेशन और रिडेम्प्शन इन्फ्रास्ट्रक्चर था—क्रिप्टो प्रणालियों में तेजी से महत्वपूर्ण होता हमला-क्षेत्र।

CertiK ने 2026 की पहली छमाही में 344 क्रिप्टो-सुरक्षा घटनाओं में 1.31 अरब डॉलर से अधिक के नुकसान की रिपोर्ट दी। पिछले वर्ष की तुलना से असाधारण Bybit घटना को हटाने पर रिपोर्ट के अनुसार नुकसान साल-दर-साल करीब 28% अधिक था। 19 अलग से, CoinGecko ने जनवरी 2025 से जुलाई 2026 तक 245 दर्ज सुरक्षा घटनाओं में 3.63 अरब डॉलर की चोरी गिनी; सप्लाई-चेन हमले, स्मार्ट-कॉन्ट्रैक्ट एक्सप्लॉइट और चुराई गई कुंजियां प्रमुख कारणों में शामिल रहे। 17

Liquid से मिलने वाला सबक इसलिए केवल एक साइडचेन तक सीमित नहीं है: एसेट को ब्रिज करने, रैप करने या रिडीम करने वाली प्रणालियों को अपनी बैकिंग की मान्यताओं को शुरू से अंत तक परखना होगा। इश्यूएंस वैलिडेशन की एक विफलता, दिखने में वैध रिडेम्प्शन तंत्र को ही रिजर्व एसेट बाहर निकालने का रास्ता बना सकती है।